PHP 공격 모의, 북한 연계 판단과 서버 점검 기준

약 12분 읽기 2026.10.26 06:37

PHP 취약점을 이용해 정부·금융기관 등을 공격하려는 준비 정황이 포착됐다고 연합뉴스가 보도했다. 사이퍼마가 제기한 북한 라자루스 연계 가능성은 분석 신뢰도 ‘중간’으로, 공격 준비 정황과 배후 판단을 구분해서 읽어야 한다. 연합뉴스

서버 운영자에게 당장 중요한 질문은 ‘누가 공격하는가’와 함께 ‘내 서버에서 무엇을 확인해야 하는가’다. 연합뉴스가 인용한 보안 전문가는 취약점의 위험성과 공격 시도 정황에는 우선 대응하되, 북한 조직 개입 여부는 추가 검증이 필요한 정보로 분류하라고 조언했다. 연합뉴스

이 글은 공격 계획에서 드러난 대상과 준비 방식, 배후 판단에 붙은 유보, 보도된 대응 권고를 차례로 살핀다. 특히 표적에 올랐다는 말과 실제 침해됐다는 말, 보안 업데이트가 나왔다는 말과 운영 서버에 적용됐다는 말을 나누어 읽는 데 초점을 둔다.

공격 준비 정황은 실제 침해와 구분해서 읽어야 한다

준비 활동, 조직 연계, 실제 피해의 서로 다른 판단 상태를 나타낸 개념 일러스트 — 본문 내용을 정리한 개념도 · AI 생성

연합뉴스에 따르면 싱가포르 사이버보안 기업 사이퍼마는 익명 네트워크 I2P에서 한국어를 사용하는 조직원들이 PHP 취약점을 이용한 공격을 논의하는 정황을 포착했다. 논의 내용에는 웹 서버를 겨냥한 사전 정찰과 구체적인 공격 계획이 포함됐다. 연합뉴스

재경일보는 사이퍼마가 공격 계획과 준비 활동의 존재에는 높은 신뢰도를 부여했지만, 라자루스 관련성에는 ‘중간’ 수준을 부여했다고 전했다. 같은 보고서를 읽더라도 무엇에 대한 확신인지에 따라 결론이 달라지는 대목이다. 재경일보

판단 대상	보도된 내용	읽을 때 붙일 조건
공격 준비 활동	사이퍼마가 높은 신뢰도 부여	공격 계획과 준비 활동에 대한 평가
라자루스 관련성	사이퍼마가 ‘중간’ 신뢰도 부여	배후 확정으로 읽지 않기
국내 실제 피해	해당 의심 조직에 의한 국내 기업·공공기관 침해 성공 사례는 확인되지 않았다고 보도	재경일보 보도 당시의 확인 범위

표의 신뢰도와 피해 확인 범위는 재경일보 보도에 따른다. 이 구분에 대한 해석은 단순하다. 준비 활동이 구체적이라는 평가만으로 공격 성공이나 공격 주체까지 함께 확정할 수는 없다.

표적의 범위도 피해 목록과 구별할 필요가 있다. 사이퍼마가 파악한 계획에서 정부기관과 은행 등 금융기관은 최우선 표적이었다. 제조업, 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사, 건설사도 공격 대상으로 거론됐다. 연합뉴스

국가별 목록에는 한국이 들어 있다. 연합뉴스는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 우선 공격 대상으로 거론됐다고 전했다. 연합뉴스

다만 매체마다 목록의 범위가 다르다. 재경일보는 지역별 표적 후보에 태국과 인도네시아를 포함해 적었고, 부산일보는 대상국을 ‘한국과 미국, 일본 등 12곳’으로 썼다. 재경일보 · 부산일보

어느 목록이 보고서 원문과 같은지는 확인되지 않았다. 어느 쪽이든 국가 목록은 피해국 목록이 아니라 공격 계획에 거론된 대상이다.

PHP 결함의 위험도와 내 서버의 상태는 다른 질문이다

재경일보는 ‘PHP2Shell’을 PHP 실행 엔진에서 발견된 CVE-2026-109618과 CVE-2026-109619를 통칭하는 이름으로 설명했다. 특정 환경에서는 로그인이나 인증 없이 조작된 웹 요청만으로 웹 서버에서 원격 명령을 실행할 수 있는 결함이라고 전했다. 재경일보

핵심 조건은 ‘특정 환경’이다. 이 표현을 생략하고 PHP를 사용하는 모든 서버에서 동일한 결과가 난다고 읽어서는 안 된다는 것이 이 글의 해석이다. 서버 운영자는 사용 언어뿐 아니라 자신이 사용하는 버전과 취약점 적용 조건을 확인해야 한다.

재경일보는 두 취약점 모두 공통취약점평가시스템인 CVSS에서 10점 만점에 9.2점을 받아 ‘치명적’ 등급으로 분류됐다고 보도했다. 재경일보 이 수치는 보도가 제시한 취약점 위험도이며, 앞 절의 라자루스 연계 신뢰도와는 평가 대상이 다르다.

피해 가능성 역시 조건부로 보도됐다. 재경일보는 공격자가 해당 취약점을 악용해 서버에 침입할 경우 정보 탈취와 추가 악성코드 설치 등으로 피해가 확대될 수 있다고 설명했다. 재경일보 ‘침입할 경우’라는 조건과 ‘확대될 수 있다’는 가능성을 유지해야 실제 피해가 발생했다는 단정으로 바뀌지 않는다.

북한 연계설에는 근거와 유보가 함께 붙어 있다

연계 추정에 사용된 정황과 추가 검증이 필요한 직접 증거를 나타낸 개념 일러스트 — 본문 내용을 정리한 개념도 · AI 생성

사이퍼마가 제시한 연계 근거는 어떤 성격일까. 연합뉴스가 인용한 보안 전문가는 한국어로 이뤄진 공격 지시, 정부·금융기관 위주의 표적 선정, 과거 라자루스가 사용한 웹셸 방식과 비슷한 공격 전술을 짚었다. 연합뉴스

언어: 공격 지시가 한국어로 이뤄졌다는 점.
표적: 정부기관과 금융기관을 우선 대상으로 삼았다는 점.
전술: 과거 라자루스의 웹셸 방식과 비슷한 공격 전술이라는 점.

이 목록은 해당 전문가가 설명한 연계 근거를 나눈 것이다. 같은 전문가는 “정작 라자루스 그룹과 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않았다”고 말했다. 연합뉴스

YTN에 출연한 문종현 지니언스 시큐리티센터장도 악성 프로그램 코드, IP 주소, 공격 전략을 종합적으로 판단해야 한다고 설명했다. 사이퍼마가 자체 분석 신뢰도를 ‘중간’으로 평가하고 추가 검증이 필요하다고 했다는 내용도 함께 전했다. YTN

이 근거를 읽는 데 필요한 해석은 ‘유사성을 제시한 단계’와 ‘직접 연결을 입증한 단계’를 구별하는 것이다. 한국어 사용이나 표적의 성격은 연계 가능성을 제기하는 설명으로 쓰였지만, 전문가가 지적한 직접 증거의 공백까지 메우지는 못한다.

후속 보도에서 ‘북한 연계’라는 표현이 더 강해진다면, 독자는 수식어의 변화보다 새 증거의 종류를 확인하는 편이 낫다. 악성코드나 공격 인프라의 중복 증거가 추가됐는지, 분석 신뢰도가 어떤 근거로 바뀌었는지를 보는 것이 앞선 전문가 설명에 따른 확인 기준이다.

AI 활용과 의심 IP도 각각의 확인 범위가 있다

공격 준비 과정의 AI 활용은 구체적인 작업으로 설명됐다. 연합뉴스에 따르면 사이퍼마는 공격자들이 공개된 취약점 공략 코드를 수집하고 자체 AI 모델로 우선순위를 매긴 뒤, 실제 사용 전 통제된 환경에서 검증하는 방식으로 공격을 준비한다고 밝혔다. 연합뉴스

이 설명에서 읽을 수 있는 것은 공격 코드의 선별과 검증에 AI를 활용한 준비 정황이다. AI가 실제 침해를 완료했다거나 어느 정도의 공격 성과를 냈다는 결론으로 확대할 수는 없다는 것이 이 글의 해석이다. 준비 방식과 실행 결과를 구별하는 기준은 AI가 등장해도 같다.

재경일보는 사이퍼마가 10월 23일 약 8시간 동안 PHP 웹셸과 파일 업로드 처리 기능을 악용하려는 의심 활동에서 추가 출발지 IP 주소 17개를 식별했다고 전했다. 재경일보

다만 같은 보도는 이 IP 주소들이 해당 한국어 사용 공격조직의 기반시설이라는 증거는 확보되지 않았다고 명시했다. 사이퍼마 역시 예상되는 공격 방식과 유사할 뿐, 동일 조직의 활동으로 단정할 수 없다고 했다는 설명이다. 재경일보

이 대목에서 독자가 분리해 볼 항목은 다음과 같다.

준비 방식: 공개 공격 코드를 수집하고 AI로 우선순위를 매겨 검증했다는 사이퍼마의 설명.
관측 활동: PHP 웹셸과 파일 업로드 처리 기능을 악용하려는 의심 활동에서 출발지 IP를 식별했다는 설명.
조직 귀속: 그 IP들이 해당 조직의 기반시설이라는 증거는 확보되지 않았다는 유보.

앞의 준비 방식은 연합뉴스, 의심 활동과 조직 귀속의 한계는 재경일보가 전했다. 이 구분에 따르면 관측된 IP 수를 해당 조직의 공격 거점 수나 피해 서버 수로 바꾸어 읽어서는 안 된다. 이는 수치의 대상을 유지하기 위한 이 글의 해석이다.

대상 목록 작성 계획은 공격 개시 일정이 아니다

재경일보는 사이퍼마가 10월 23일 위협 분석 보고서를 발표했다고 전했다. 또 공격자들이 10월 25일까지 국가와 산업별로 분류한 첫 공격 대상 목록을 마련할 계획인 것으로 분석됐다고 보도했다. 구체적인 공격 개시일이나 실제 표적 서버 목록은 확인되지 않았다는 유보도 붙였다. 재경일보

날짜마다 무엇이 예정되거나 이뤄졌다는 것인지 구분해야 한다. 목록 작성 목표일은 공격 시작일이 아니며, 목표로 제시된 날짜가 지났다는 이유만으로 계획이 완료됐다고 볼 수 없다는 것이 이 글의 해석이다.

취약점 자체의 공개 경과는 부산일보가 전했다. 보안업체 캘리프와 위즈, 오픈AI가 지난 8월 AI로 PHP 코드를 분석하다 결함을 찾았고, 당초 22일 패치와 함께 공개할 예정이던 정보가 20일 먼저 새어 나갔다는 설명이다. 부산일보

보도된 대응 경과는 다음처럼 나눌 수 있다.

10월 21일: PHP 개발팀이 긴급 보안 업데이트를 배포했다고 재경일보가 전했다.
10월 22일: 과학기술정보통신부와 한국인터넷진흥원(KISA)이 ‘주의’ 경보를 발령하고 기업에 보안 대응 수칙을 안내했다고 전했다.
10월 25일까지: 공격자들이 첫 공격 대상 목록을 마련할 계획이라고 전했다. 실행 완료나 공격 개시를 뜻하는 날짜는 아니다.

각 날짜와 행위는 재경일보 보도에 따른다. 앞의 두 항목은 배포와 경보 발령에 관한 보도이고, 마지막 항목은 공격자의 계획에 관한 분석이다. 모두를 같은 수준의 완료된 사건으로 놓으면 시간순 정리가 오히려 오해를 만든다.

10월 22일 경보에 관해 부산일보는 정부가 이날 낮 12시부터 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올렸고, 정보보호최고책임자(CISO) 신고기업 약 2만 8000곳 등에 대응 지침을 긴급 전파했다고 전했다. 부산일보

서버 점검은 PHP 업데이트와 침해 흔적 확인을 나눠야 한다

재경일보는 이번 결함이 웹 애플리케이션이나 플러그인이 아닌 PHP 실행 엔진에서 발생해, 워드프레스 등 웹사이트 관리 프로그램만 업데이트해서는 해결되지 않는다고 설명했다. 재경일보 사이트 관리자에게는 업데이트의 대상이 무엇인지 확인하는 것이 첫 번째 실무 질문이 된다.

보도된 권고를 작업 단위로 정리하면 다음과 같다. 이는 재경일보가 전한 사이퍼마의 권고이며, 개별 서버에 적용할 명령어나 환경별 작업 절차를 뜻하지는 않는다.

점검 대상	보도된 권고·설명	적용 조건
웹사이트 관리 프로그램	이것만 업데이트해서는 해결되지 않는다고 설명	PHP 실행 엔진의 결함이라는 설명에 따른 구분
PHP 실행 환경	보안 수정 버전으로 업데이트	사용 환경에 맞는 수정 버전 확인 필요
PHP 작업 프로세스	업데이트 이후 재시작 권고	업데이트 후 수행할 작업
외부 접근	외부 접근 제한 권고	즉시 패치할 수 없는 서버
서버 기록과 파일	의심 요청·악성 파일 생성·비정상 명령 실행 점검	보도된 점검 권고에 따라 확인

표의 대응 권고는 재경일보에 근거한다. ‘수정 버전 확인 필요’는 운영 환경에 적용하기 위한 이 글의 점검 제안이다.

재경일보는 사이퍼마가 권고한 수정 버전으로 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 열거했다. 재경일보 이 버전 목록은 해당 매체가 전한 권고로 읽어야 한다. 실제 적용 시에는 PHP 공식 보안 공지와 운영 환경의 배포 경로를 대조하는 절차가 필요하다는 것이 이 글의 제안이다.

정부 쪽 당부는 부산일보가 따로 전했다. 부산일보는 정부가 업데이트를 마친 뒤에도 서버 접속 기록과 웹셸 설치 여부를 점검하라고 당부했다고 전했다. 같은 기사는 PHP 8.1 이하 구버전에는 공식 업데이트가 없어 상위 버전으로 옮겨야 한다고 적었다. 부산일보

운영자나 관리업체에 확인할 질문은 다음처럼 구체화할 수 있다.

무엇을 업데이트했는가: 웹사이트 관리 프로그램을 바꾼 것인지, PHP 실행 환경의 보안 수정을 적용한 것인지 구분한다.
적용 뒤 어떤 작업을 했는가: 보도된 권고에 포함된 PHP 작업 프로세스 재시작 여부를 확인한다.
즉시 패치하지 못한다면 어떤 조치를 했는가: 외부 접근 제한 권고가 해당 서버에 어떻게 적용되는지 담당자에게 묻는다.
침해 흔적은 별도로 살폈는가: 웹 요청, 서버 내 파일 생성, 명령 실행 기록의 점검 결과를 확인한다.

이 질문들은 재경일보가 전한 대응 권고를 확인 순서로 재구성한 것이다.

점검 기간에 관해서는 재경일보가 사이퍼마의 권고를 전하면서 10월 17일 이후의 의심스러운 웹 요청, 악성 파일 생성, 비정상 명령 실행 여부를 살피라고 적었다. 재경일보 이 날짜는 보도된 점검 기준이다. 해당 공격조직이 그날 활동을 시작했다는 사건 날짜로 읽어서는 안 된다는 것이 이 글의 해석이다.

실제 피해와 배후 판단은 후속 증거로 갱신해야 한다

재경일보는 보도 당시 해당 북한 연계 의심 조직에 의한 한국 기업이나 공공기관의 실제 침해 성공 사례가 확인되지 않았다고 전했다. 구체적인 공격 개시일과 실제 표적 서버 목록 역시 확인되지 않았다고 밝혔다. 재경일보

이 유보가 답해 주는 범위는 한정돼 있다. 이 글의 해석으로는 특정 의심 조직의 국내 침해 성공 사례가 확인되지 않았다는 설명을 PHP 취약점을 이용한 모든 공격이나 피해가 없다는 뜻으로 넓힐 수 없다. ‘어떤 조직의 어떤 피해를 확인했는가’를 유지해야 한다.

노출 규모도 추정 단계로 보도됐다. TV조선은 정부가 노출 서버 규모조차 파악하지 못하고 있다고 보도하면서, 업계가 취약한 PHP 버전이 설치된 국내 서버를 수십 만 건으로 추정한다고 전했다. TV조선 이 값은 취약 버전 설치 규모에 관한 업계 추정이며, 침해된 서버 수가 아니다.

배후 판단에서도 연합뉴스가 인용한 전문가는 공개 자료만으로 북한 공격조직의 개입 여부를 독립적으로 검증하기 어렵다고 설명했다. 연합뉴스 후속 보도에서 확인할 것은 같은 가능성 표현의 반복보다 그 한계를 바꾸는 구체적인 근거다.

독자의 판단을 갱신할 기준은 세 갈래로 정리할 수 있다는 것이 이 글의 해석이다. 서버 대응은 실제 적용 상태와 점검 결과로, 피해 판단은 침해 확인 내용으로, 배후 판단은 악성코드와 공격 인프라 등 연결 증거로 갱신한다. 어느 한 항목의 진전이 나머지 항목까지 자동으로 입증하지는 않는다.